İçindekiler
ISO 27001 Kimlik Doğrulama ve Yetkilendirme Politikası, kuruluş ağı üzerinde erişim, kimlik doğrulama ve yetkilendirme süreçlerine ilişkin kuralları tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, temel kurallarını ve ISO 27001 denetiminde “kim/ne/nasıl” sorularının neden ayrı ayrı yönetildiğini ele alıyoruz.
ISO 27001 Kimlik Doğrulama ve Yetkilendirme Politikasının Amacı Nedir?
Bu politika, ISO 27001 Ek-A erişim kontrolü kapsamında hangi kullanıcının hangi sisteme hangi yöntemle erişeceğinin tanımlanmasını sağlar. Kimlik doğrulama (kullanıcının gerçekten iddia ettiği kişi olduğunun kanıtlanması) ile yetkilendirme (o kullanıcının hangi işlemleri yapabileceği) birbirinden farklı ama birbirini tamamlayan iki adımdır; bu politika ikisini birlikte ele alarak erişim sürecinin uçtan uca güvenli olmasını sağlar.
Politikanın Temel Kuralları Nelerdir?
- Kullanıcı rolleri ve yetkileri tüm uygulama, veritabanı ve işletim sistemlerinde denetim altında tutulur
- Başarılı ve başarısız erişim logları düzenli tutulur, tekrarlanan başarısız girişimler incelenir
- Her kullanıcıya kendine ait tekil bir hesap açılır, şifreler paylaşılamaz
- Erişim hakları belirli periyotlarla, ayrıcalıklı erişimler ise daha sık gözden geçirilir
“Tekrarlanan başarısız girişimlerin incelenmesi” kuralı, kaba kuvvet (brute force) saldırılarının erken tespit edilmesini sağlayan pratik bir önlemdir; art arda başarısız giriş denemeleri, bir hesabın ele geçirilmeye çalışıldığının ilk işaretidir.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle paylaşılan hesap kullanımı olup olmadığını ve ayrıcalıklı erişimlerin gözden geçirme sıklığının gerçekten diğer hesaplardan daha yüksek olup olmadığını kontrol eder. Bu politika, ISO 27001 belgesi denetimlerinde kimlik doğrulama ve yetkilendirme süreçlerinin sistematik ve kademeli şekilde yönetildiğinin kanıtıdır.